Verificering med helm verify og --verify

helm verify forventer, at .prov-filen ligger ved siden af arkivet. Uden den er der ingen signatur at kontrollere, og verifikationen kan ikke gennemføres.

Verifikation kræver udgiverens offentlige nøgle i din nøglering. Peg Helm på den med --keyring, hvis den ikke ligger i standardnøgleringen.

Helm genberegner arkivets hashværdi og validerer PGP-signaturen. Hvis en af dem mislykkes, ender verifikationen med en fejl, og du bør ikke installere chartet.

Du behøver ikke et separat trin. Føj --verify til install eller pull, så nægter Helm at fortsætte, hvis signaturen er ugyldig.

Når du installerer fra et chartlager, beder --verify Helm om også at downloade .prov-filen og kontrollere den, før releasen oprettes.

Ved succes udskriver Helm identiteten Signeret af og den SHA-256-hashværdi, som blev bekræftet, så du kan se præcis, hvem og hvad du har vist tillid.

Hvis signererens offentlige nøgle ikke findes i din nøglering, mislykkes verifikationen. Helm kan ikke validere en signatur, som den ikke har en nøgle til.

Hent og importér udgiverens offentlige nøgle til din nøglering. Derefter har verifikationen noget, den kan kontrollere signaturen imod.

For kilder, du ikke har tillid til, er verifikation før installation dit forsvar mod manipulerede charts eller charts fra nogen, der udgiver sig for at være en anden, i din klynge.

Brug helm verify eller flaget --verify til at bekræfte et charts hashværdi og signatur mod signererens offentlige nøgle, før du installerer. ✅